App registrations should no longer use secrets
Pourquoi cela est important
Les secrets d'application, tels que les client secrets ou mots de passe, peuvent être compromis s'ils sont stockés de manière incorrecte ou exposés dans des référentiels de code. Les attaquants qui obtiennent ces secrets peuvent usurper l'identité de vos applications et accéder à des données sensibles sans autorisation. Passer à une authentification par certificat ou à des identités gérées élimine ce risque en supprimant les informations d'identification statiques et à longue durée de vie.
Ce que vérifie Aether365
Cette vérification analyse votre locataire Microsoft 365 pour détecter les inscriptions d'applications (app registrations) qui utilisent encore des client secrets pour l'authentification. Elle apparaît dans le tableau de bord Aether365 sous la section des vérifications microsoft-365 et met en évidence les applications qui doivent être mises à jour vers des méthodes d'authentification plus sécurisées.
Comment corriger
- Connectez-vous au Azure Portal (portal.azure.com) et accédez à Azure Active Directory > App registrations.
- Sélectionnez l'inscription d'application qui utilise des secrets.
- Sous Manage, cliquez sur Certificates and secrets.
- Supprimez tous les client secrets existants et ajoutez un certificat à la place. Téléchargez un fichier de certificat public (.cer) dans l'inscription d'application.
- Mettez à jour le code de l'application pour qu'il s'authentifie à l'aide du certificat, et non du secret.
- Pour les applications s'exécutant dans Azure, envisagez d'utiliser des identités gérées (managed identities) pour éviter de gérer des informations d'identification.
Conformité
- CIS Microsoft 365 Foundations Benchmark : Non mappé directement
- CISA Azure Security Baseline : Référence les bonnes pratiques relatives aux inscriptions d'applications
- EIDSCA : Aucun mappage spécifique
Ressources associées
- Microsoft Learn : Bonnes pratiques concernant les secrets d'inscription d'application
- Microsoft Learn : Présentation des identités gérées